Zero Trust a mikrosegmentace

Proč hradba na hranici sítě nestačí a co dělat místo toho: pivot a laterální pohyb útočníka, tři principy Zero Trustu, nejmenší oprávnění v pravidlech (any-any, default deny, stínící pravidla), mikrosegmentace podle rolí, ověřování identity přes 802.1X a RADIUS, blast radius a nástraha, a cesta od ploché sítě krok po kroku.

Lekce 1: Proč perimetr nestačí

Hrad a příkop: model, který selhal

Než začneš: tenhle kurz staví na pojmech ze začátečnických kurzů (adresy a maska, brána, VLANy, porty, DNS, firewall) – když ti některý nebude jasný, mrkni napřed do nich. Klasický návrh bezpečnosti sítě se přezdívá hrad a příkop: postavíš pevnou hradbu na hranici (firewall na přechodu do internetu), a všechno, co je uvnitř, považuješ za důvěryhodné. Vnější svět je nebezpečný, vnitřní síť je bezpečná. Model má jednu obrovskou výhodu – je jednoduchý – a jednu smrtelnou slabinu: uvnitř nikdo nic nekontroluje. Kdokoli se dostane přes hradbu, pohybuje se po síti jako doma. A přes hradbu se dnes dostat dá poměrně snadno: stačí jeden zaměstnanec, který klikne na přílohu v phishingovém e-mailu, jedna zapomenutá tiskárna se starým firmwarem, jeden notebook dodavatele, jedna služba vystavená do internetu. Hradba navíc předpokládá, že existuje jasná hranice – jenže dnes už neexistuje: lidé pracují z domova přes VPN, data jsou v cloudu, do sítě se připojují mobily a IoT zařízení. Perimetr se rozpadl na desítky malých vstupů. Tenhle kurz je o tom, co dělat místo toho: přestat důvěřovat umístění v síti a začít při každém přístupu ověřovat, kdo žadatel je a jestli na to má právo. Tomu se říká Zero Trust. Není to produkt, který se koupí a nainstaluje – je to způsob návrhu, který v této scéně budeme skládat kus po kuse.

Krok za krokem

Model hrad a příkop: firewall na hranici odděluje nebezpečný internet od „bezpečné" vnitřní sítě.
Uvnitř si všechno navzájem důvěřuje: počítač, server, tiskárna i notebook hosta. Nikdo tam nic nekontroluje.
Jenže hradbou se dnes projde snadno: phishingový e-mail, stará tiskárna, notebook dodavatele. Stačí jeden vstup.
A hranice už ani není jasná: práce z domova, cloud, mobily, IoT. Perimetr se rozpadl na desítky malých vstupů.

Pivot: útočník už je uvnitř

Podívejme se, co přesně útočník udělá, když se dostane dovnitř – tenhle scénář musíš mít v hlavě, protože je zdůvodněním celého kurzu. Útočník obvykle nezačne na tom nejcennějším stroji. Začne tam, kam se dostal nejsnáz: na počítači zaměstnance, na kamerovém systému, na serveru v DMZ (odděleném pásmu pro služby vystavené do internetu). Odtud udělá pivot: použije obsazený stroj jako odrazový můstek a rozhlédne se, s kým vším ten stroj může mluvit. V ploché síti bez vnitřních hranic je odpověď zdrcující – se vším. Následuje laterální pohyb (postup do stran): útočník skáče ze stroje na stroj, sbírá přihlašovací údaje, hledá slabě chráněné služby a postupuje k tomu, po čem opravdu jde – k databázi, k zálohám, k účetnictví. Všimni si, že tenhle postup nemá nic společného s hradbou. Firewall na hranici vidí jen provoz mezi vnitřkem a internetem; provoz mezi dvěma stroji uvnitř mu neprojde před očima vůbec. Právě proto začíná Zero Trust otázkou, která se v klasickém návrhu nikdy nepokládá: „a co když už je útočník uvnitř?" Na scéně to uvidíš krok za krokem – od obsazeného serveru v DMZ až k datům, na která nikdy neměl mít dosah.

Krok za krokem

Útočník začne tam, kam se dostane nejsnáz – třeba na serveru v DMZ, který je vystavený do internetu.
Následuje pivot: obsazený stroj poslouží jako odrazový můstek. S kým vším smí mluvit? V ploché síti se vším.
Laterální pohyb: útočník skáče ze stroje na stroj a sbírá přihlašovací údaje – firewall na hranici tenhle provoz vůbec nevidí.
Hradba přitom pořád stojí a hlásí „vše v pořádku". Proto se Zero Trust ptá: a co když je útočník už uvnitř?

Tři principy Zero Trust

Zero Trust stojí na třech principech a stojí za to je znát doslova – zbytek kurzu je jen jejich převod do konkrétních nastavení. 1) Ověřuj explicitně. Nikdy nepředpokládej důvěru z toho, odkud někdo přichází. To, že je zařízení v kancelářské zásuvce nebo na firemní Wi-Fi, není důkaz, že tam patří. Každý přístup se má opřít o ověřenou identitu (kdo to je) a o stav zařízení – ne o kabel. 2) Nejmenší oprávnění. Každý účet, zařízení a služba dostane právě tolik přístupu, kolik potřebuje k práci – a nic navíc. Ne „všichni všude", ale „účetní na účetní server, tiskárna nikam". Sem patří i to, že oprávnění není navždy: co se přestalo používat, se odebere. 3) Předpokládej průnik. Navrhuj síť tak, jako by už útočník uvnitř byl. Ptej se ne „jak ho nepustit dovnitř", ale „kam se odsud dostane, až se dovnitř dostane". Z toho vyplyne mikrosegmentace, sledování a rychlé odhalení. Všimni si, jak spolu ty tři principy drží: první rozhoduje, kdo smí, druhý kam smí, třetí říká, co se stane, když se to přesto pokazí. A žádný z nich se nekupuje – všechny se navrhují a nastavují. Střízlivě řečeno: Zero Trust je disciplína pokládat u každého propojení otázku „proč tohle vlastně smí?".

Krok za krokem

Ověřuj explicitně: to, že je zařízení v kancelářské zásuvce, není důkaz, že tam patří. Rozhoduje ověřená identita.
Nejmenší oprávnění: účetní na účetní server ano, tiskárna nikam. Právě tolik přístupu, kolik je k práci potřeba.
Předpokládej průnik: ptej se ne „jak ho nepustit dovnitř", ale „kam se odsud dostane, až uvnitř bude".
Tři principy drží spolu: první řeší kdo smí, druhý kam smí, třetí co se stane, když to přesto selže.

▶ Otevřít v simulátoru

Lekce 2: Nejmenší oprávnění v pravidlech

Od obecného ke konkrétnímu

Princip nejmenšího oprávnění zní hezky, ale kde se v síti opravdu nastavuje? V pravidlech firewallu a v přístupových seznamech (ACL). Jak takové pravidlo vypadá a proč se seznam čte shora dolů, znáš z kurzu Zabezpečení sítě. A tam vypadá začátek téměř každé sítě stejně: pravidlo any-any, tedy „odkudkoli kamkoli, jakýkoli port". Vzniká z nejlepších úmyslů – něco nefungovalo, tak se pravidlo dočasně rozšířilo, aby se rozjel provoz, a už tam zůstalo. Jenže any-any není pravidlo, je to vypnutá kontrola: firewall sice stojí v cestě, ale všechno propouští. Zúžit ho znamená odpovědět na tři otázky: kdo (zdroj – konkrétní stroj nebo segment, ne „celá síť"), kam (cíl – konkrétní server, ne „všechny servery") a co (služba a port – třeba jen HTTPS na 443, ne „vše"). Z „any-any" se tak stane třeba „z kancelářského segmentu na účetní server, port 443". Rozdíl v dopadu je obrovský: v prvním případě obsazený počítač zaměstnance dosáhne na cokoli, ve druhém na jednu službu na jednom serveru. Užitečné vodítko při psaní pravidel: začni od služby, ne od stroje. Ptej se „co má tenhle uživatel skutečně dělat?" a povol přesně to. A pravidla si popiš – za rok už nikdo neuhodne, proč tam ta výjimka je, a nikdo se ji proto neodváží smazat.

Krok za krokem

Pravidlo any-any propouští všechno. Firewall sice v cestě stojí, ale fakticky je kontrola vypnutá.
Zužování má tři kroky. Kdo: zdrojem je konkrétní stroj nebo segment, ne „celá síť".
Kam: cílem je jeden konkrétní server, ne „všechny servery". Rozsah pravidla se tím dramaticky smrskne.
Co: povol jen potřebnou službu a port – třeba HTTPS na 443. Z „any-any" je konkrétní, popsatelné pravidlo.

Default deny jako výchozí postoj

Zúžit jednotlivá pravidla nestačí – rozhoduje ještě výchozí postoj, tedy co se stane s provozem, na který žádné pravidlo nesedí. Existují dvě možnosti a jsou to dva různé světy. Default allow (výchozí povolení): co není výslovně zakázáno, projde. Tenhle přístup tě odsuzuje k nekonečnému seznamu zákazů – musel bys předem vyjmenovat všechno špatné, co kdy někdo vymyslí. Každá nová služba, nový port, nová technika útoku znamená díru, dokud si jí někdo nevšimne a nedopíše zákaz. Default deny (výchozí zákaz): co není výslovně povoleno, se zahodí. Seznam se otočí – místo výčtu zla vyjmenuješ to málo dobrého, co má procházet. A protože firemní síť potřebuje k práci překvapivě málo věcí, je ten seznam krátký, srozumitelný a dá se obhájit. Default deny je proto výchozí postoj Zero Trustu a v podstatě přímý přepis principu nejmenšího oprávnění do řeči firewallu. Praktická poznámka, ať tě nepřekvapí: zapnout default deny bolí. Poprvé vždycky přestane fungovat něco, o čem nikdo nevěděl, že po síti chodí – tichá aktualizace, monitoring, zálohovací agent. Proto se to dělá postupně: nejdřív se provoz sleduje, pak se povolí to, co je opravdu potřeba, a teprve nakonec se zbytek zavře. A ještě jedna věc, na kterou se zapomíná: pravidla se musí uklízet. Když služba skončí, její pravidlo tam zůstane a tiše drží otevřená vrátka.

Krok za krokem

Default allow: co není výslovně zakázáno, projde. Musel bys předem vyjmenovat všechno špatné – to nejde.
Každá nová služba, port nebo technika útoku je díra do chvíle, než si jí někdo všimne a dopíše zákaz.
Default deny seznam otočí: vyjmenuješ to málo dobrého, co má projít. Krátký a obhajitelný seznam.
Zapínej postupně: nejdřív provoz sleduj, pak povol, co je potřeba, a nakonec zavři zbytek. A pravidla po zrušených službách uklízej.

Pravidla, která se překrývají

Máš default deny a zúžená pravidla – a přesto se ti do sítě může vloudit díra, o které nevíš. Vzniká tím, jak firewall pravidla vyhodnocuje: prochází seznam shora dolů a použije první pravidlo, které na provoz sedí. Zbytek už nečte. Z toho plyne první past: příliš široké pravidlo nahoře zastíní úzká pravidla pod sebou. Máš-li na prvním řádku „z kancelářské sítě kamkoli povolit" a na desátém „z kancelářské sítě na účetní server zakázat", ten zákaz se nikdy nevyhodnotí – provoz se rozhodl už na řádku jedna. Pravidlo tam přitom vypadá bezvadně a v auditu se snadno přehlédne. Druhá past je opačná: nikdy nepoužité pravidlo. Bývá to buď zbytek po dávno zrušené službě, nebo omyl (adresa se překlepla, port se změnil) – a v obou případech tě mate: myslíš, že něco chráníš nebo povoluješ, a přitom to pravidlo neplatí. Praktické pořadí, které se osvědčilo: nahoru úzké výjimky (nejdřív konkrétní zákazy, pak konkrétní povolení), dolů obecná pravidla, a úplně na konec default deny. K tomu dvě návyky: pravidla si popisuj (kdo je chtěl, proč, do kdy) a pravidelně kontroluj, která se vůbec neuplatňují. V simulátoru si to osaháš na úloze, kde stejný provoz sedí na dvě pravidla naráz – a rozhodne to, které je výš.

Krok za krokem

Firewall prochází pravidla shora dolů a použije první, které na provoz sedí. Zbytek už nečte.
Past první: široké „z kanceláře kamkoli povolit" nahoře zastíní úzký zákaz pod sebou. Zákaz se nikdy nevyhodnotí.
Past druhá: nikdy nepoužité pravidlo – zbytek po zrušené službě nebo překlep v adrese. Myslíš, že chráníš, a neplatí to.
Osvědčené pořadí: nahoru úzké výjimky, dolů obecná pravidla, úplně na konec default deny. A popisuj je.

▶ Otevřít v simulátoru

Lekce 3: Mikrosegmentace

Segment podle role, ne podle patra

Pravidla jsou k ničemu, když je síť plochá – protože pak nemáš mezi čím pravidla psát. Proto je druhou polovinou nejmenšího oprávnění segmentace: rozdělení sítě na menší celky (typicky VLANy a podsítě), mezi kterými provoz musí projít přes bod, kde se dá kontrolovat. A tady se dělá první velká chyba návrhu: segmenty podle patra nebo místnosti. „VLAN pro druhé patro, VLAN pro přízemí" vypadá přehledně, ale bezpečnostně neznamená nic – ve druhém patře sedí vedle sebe účetní, kamera a tiskárna, takže uvnitř segmentu spolu volně mluví věci, které spolu nemají co dělat. Správné vodítko zní: segmentuj podle role a citlivosti, ne podle zeměpisu. Do jednoho segmentu patří to, co má stejný účel a stejnou úroveň důvěry: servery zvlášť, uživatelské počítače zvlášť, IoT a kamery zvlášť, hosté zvlášť, správcovské rozhraní síťových prvků úplně zvlášť. Přesně to vidíš na scéně – čtyři segmenty pověšené na jednom L3 switchi. Když jsou role oddělené, dají se konečně napsat smysluplná pravidla: „uživatelé smějí na aplikační server na 443", „IoT nesmí nikam kromě svého sběrače dat", „hosté jen do internetu". A když je pak jeden segment obsazený, útočník narazí na hranici, kde se ho někdo ptá, kam si myslí, že jde. Tomu jemnějšímu dělení – až na úroveň jednotlivých rolí a serverů, ne jen „vnitřek a DMZ" – se říká mikrosegmentace.

Krok za krokem

V ploché síti nemáš mezi čím psát pravidla – všechno je v jednom celku a mluví spolu napřímo.
Chyba návrhu: segmenty podle patra. Ve druhém patře sedí účetní vedle kamery – bezpečnostně to neznamená nic.
Vodítko: segmentuj podle role a citlivosti. Servery zvlášť, uživatelé zvlášť, IoT zvlášť, hosté zvlášť.
Teprve teď jdou napsat smysluplná pravidla: uživatelé na aplikační server na 443, IoT nikam, hosté jen ven.

Guest a IoT: kam nesmí

Dva segmenty mají v praxi zvláštní postavení, protože se v nich chybuje nejčastěji: hosté a IoT. Začni hosty. Host je z pohledu bezpečnosti zařízení, o kterém nevíš vůbec nic – neznáš jeho aktualizace, jeho software ani to, co na něm běželo včera. Proto host smí přesně jednu věc: ven do internetu. Nesmí na servery, na tiskárny, na sdílené disky ani na správcovská rozhraní – a nesmí ani na jiné hosty, což se dá vynutit izolací klientů na Wi-Fi (zařízení ve stejné síti spolu nemluví). Hostovská síť je klasický příklad, kdy „skoro dobře" nestačí: host, který dosáhne na tiskárnu, dosáhne na zařízení, jehož firmware nikdo neaktualizoval od dodání. IoT je ještě zákeřnější, protože nevypadá nebezpečně: kamery, čidla, chytré žárovky, klimatizace, tiskárny. Spojuje je, že mají slabý nebo žádný způsob, jak je zabezpečit: výchozí hesla, zastaralý firmware, žádné aktualizace, žádný antivirus. Zároveň jsou v síti trvale a nikdo je nesleduje. To je pro útočníka ideální odrazový můstek – tichý, zapomenutý, a přitom uvnitř. Pravidlo pro IoT proto zní: vlastní segment, ven jen na to, co opravdu potřebuje (typicky jeden sběrač dat nebo jedna služba výrobce), a žádný přístup do zbytku sítě. A protože kamera nemá důvod mluvit s jinou kamerou, hodí se i tady izolace uvnitř segmentu. Otázka, kterou si u obou segmentů pokládej pořád dokola: co se stane, když právě tohle zařízení obsadí útočník?

Krok za krokem

Host je zařízení, o kterém nevíš nic. Smí přesně jednu věc: ven do internetu.
Nesmí na servery, tiskárny, sdílené disky ani na správcovská rozhraní – a ani na jiné hosty (izolace klientů).
IoT nevypadá nebezpečně, ale má výchozí hesla a starý firmware – a je v síti trvale. Ideální odrazový můstek.
Pravidlo pro IoT: vlastní segment, ven jen na to nutné (jeden sběrač dat) a žádný přístup do zbytku sítě.

Kolik segmentů je moc

Když je segmentace tak užitečná, proč nedat každý stroj do vlastního segmentu? Protože segmentace má cenu a ta roste rychleji, než by čekal. Každý další segment znamená další podsíť, další rozhraní na L3 prvku, další sadu pravidel – a hlavně další průsečíky: čím víc segmentů, tím víc dvojic, mezi kterými musí někdo rozhodnout, co smí projít. Praktický dopad je vždycky stejný: přijde požadavek, nikdo si netroufne rozhodnout, tak se pro jistotu povolí víc – a jemné dělení se během roku promění v jemně rozkrájenou plochou síť, kde všechno smí všechno. To je to nejhorší z obou světů: složitost mikrosegmentace bez jejího přínosu. Rozumná míra vzniká ze dvou otázek. První: liší se úroveň důvěry? Kamera a účetní server ano – patří jinam. Dva účetní počítače ne – patří k sobě. Druhá: umím pro tu hranici napsat pravidlo, které obhájím? Když na otázku „co přesně tudy má chodit?" nikdo neumí odpovědět, hranice tam ještě nepatří. Dobrý postup je začít hrubě (servery, uživatelé, IoT, hosté, správa) a dělit dál jen tam, kde to bolí – typicky u nejcitlivějších dat. Segmentace není soutěž o počet VLAN; je to nástroj, jak zmenšit dosah útočníka na míru, kterou ještě dokážeš spravovat.

Krok za krokem

Začni hrubě: servery, uživatelé, IoT, hosté a správa. To pokryje většinu skutečných rozdílů v důvěře.
Každý další segment přidá podsíť, rozhraní a hlavně průsečíky – dvojice, u kterých musí někdo rozhodnout, co smí projít.
Když je dělení příliš jemné, nikdo si netroufne rozhodnout a povolí se víc. Vznikne jemně rozkrájená plochá síť.
Dvě otázky: liší se úroveň důvěry? A umím pro tu hranici napsat obhajitelné pravidlo? Jinak tam hranice nepatří.

▶ Otevřít v simulátoru

Lekce 4: Ověřuj identitu, ne zásuvku

802.1X a RADIUS na Wi-Fi

Vraťme se k prvnímu principu: ověřuj explicitně. V klasické síti je „ověřením" fyzická zásuvka nebo znalost hesla k Wi-Fi – jenže zásuvka nikoho neidentifikuje a heslo ke sdílené Wi-Fi (WPA2-Personal) zná půlka firmy, bývalí zaměstnanci a všichni, komu ho někdo poslal. Kdo se připojí, dostane síť. To je přesně to, co Zero Trust odmítá. Řešením je 802.1X: standard, kdy se zařízení nebo uživatel přihlásí, než ho port či Wi-Fi vůbec pustí do sítě. Hrají v něm tři role. Klient (tvůj notebook) předloží přihlašovací údaje nebo certifikát. Ověřovatel (switch nebo přístupový bod) je sám neověřuje – jen drží dveře zavřené a údaje předá dál. Ověřovací server, typicky RADIUS, rozhodne ano/ne a odpověď pošle zpět. Teprve po „ano" se port otevře. Tomu se u Wi-Fi říká WPA2/WPA3-Enterprise – místo jednoho společného hesla má každý svoje přihlášení (do hloubky to rozebírá kurz Wi-Fi: zabezpečení do hloubky). Dva praktické důsledky, kvůli kterým to celé stojí za práci: za prvé odchod zaměstnance znamená zrušit jeden účet, ne měnit heslo celé firmě; za druhé RADIUS umí vedle „ano/ne" vrátit i do kterého segmentu zařízení patří – takže se ti tady propojí lekce 3 a 4: identita rozhodne o zařazení, ne zásuvka.

Krok za krokem

Sdílené heslo k Wi-Fi ani zásuvka nikoho neidentifikují. Kdo se připojí, dostane síť – to Zero Trust odmítá.
802.1X: klient předloží přihlašovací údaje nebo certifikát. Switch či přístupový bod je sám neověřuje – drží dveře zavřené.
Údaje putují na ověřovací server (RADIUS). Ten rozhodne ano/ne a odpověď pošle zpět switchi.
Teprve po „ano" se port otevře. RADIUS navíc umí vrátit, do kterého segmentu zařízení patří – identita rozhodne o zařazení.

Ověřování VPN proti RADIUSu

Stejná logika platí pro vzdálený přístup. VPN vytvoří šifrovaný tunel z domova nebo z hotelu do firemní sítě – a právě proto je to mimořádně citlivé místo: kdo projde VPN, ocitne se uvnitř, přesně tam, kde klasický model přestává kontrolovat. Kdyby VPN ověřovala jen podle sdíleného hesla nebo lokálního účtu na jedné krabici, dopadneš stejně jako u sdílené Wi-Fi. Proto se VPN typicky napojí na tentýž RADIUS jako Wi-Fi a porty: uživatel se přihlásí svým firemním účtem, VPN dotaz předá ověřovacímu serveru a ten rozhodne. Výhoda je organizační, ne technická: jedna identita pro všechny vstupy. Zablokuješ účet a člověk se nedostane ani na Wi-Fi, ani přes VPN, ani do sítě přes kabel. K tomu patří ještě jedna věc, na kterou se u vzdáleného přístupu nesmí zapomenout: vícefaktorové ověření (MFA) – k heslu ještě druhý důkaz (kód z telefonu, hardwarový klíč). Ukradené heslo samo pak nestačí, a právě ukradená hesla jsou nejčastější cesta dovnitř. A pozor na chybu, kterou Zero Trust výslovně vytýká klasickému návrhu: VPN sama není Zero Trust. Když ti tunel doručí uživatele do ploché vnitřní sítě, kde smí na všechno, jen jsi útočníkovi prodloužil kabel až do jeho obýváku. VPN má končit v segmentu s pravidly – vzdálený uživatel má mít stejně úzká oprávnění jako v kanceláři, ne širší.

Krok za krokem

VPN vytvoří šifrovaný tunel dovnitř. Kdo jím projde, ocitne se uvnitř – proto je to mimořádně citlivé místo.
VPN se ptá téhož ověřovacího serveru jako Wi-Fi a porty: jedna identita pro všechny vstupy do sítě.
K tomu MFA: k heslu ještě druhý důkaz. Ukradené heslo samo pak nestačí – a to je nejčastější cesta dovnitř.
Pozor: VPN sama není Zero Trust. Když tunel končí v ploché síti, jen jsi útočníkovi prodloužil kabel. Musí končit v segmentu s pravidly.

Co dělat, když ověřovací server spadne

Když všechny vstupy do sítě rozhoduje jeden ověřovací server, položil sis novou otázku: co se stane, když spadne? Odpověď je nepříjemná – bez něj neprojde nikdo. Wi-Fi nepustí zaměstnance, porty zůstanou zavřené, VPN odmítne přihlášení. Z bezpečnostního prvku se stal jediný bod selhání pro celou firmu. Řešení má dvě části. První je zřejmá: ověřovací server zdvoj a nastav zařízením obě adresy (primární a záložní), aby se při výpadku zeptala druhého. Ten samý princip odolnosti, jaký znáš z kurzu 14 – jen aplikovaný na bezpečnostní službu, kde se na něj snadno zapomene. Druhá část je rozhodnutí, které musíš udělat vědomě předem: jak se má síť zachovat, když je nedostupný i ten druhý? Máš dvě možnosti a obě něco stojí. Fail-closed (zavřít): nikdo neprojde. Bezpečné, ale znamená to plošný výpadek – a v provozu, který nesmí stát, může být škoda větší než riziko. Fail-open (otevřít): pusť dovnitř bez ověření. Provoz jede dál, ale zrovna ve chvíli výpadku máš síť bez kontroly identity – a to je stav, který útočníkovi stojí za to způsobit. Kompromis, který se v praxi volí nejčastěji, je pustit zařízení do silně omezeného segmentu: má konektivitu na to nejnutnější, ale ne přístup k citlivým datům. Střízlivý závěr: zabezpečení, které se nedá provozovat, se dřív nebo později vypne. Odolnost ověřování je proto součást jeho návrhu, ne dodatek.

Krok za krokem

Když spadne ověřovací server, neprojde nikdo: Wi-Fi, porty ani VPN. Z bezpečnostního prvku je jediný bod selhání.
První část řešení: server zdvoj a nastav zařízením primární i záložní adresu – odolnost jako v kurzu 14.
Rozhodni předem: fail-closed (nikdo neprojde, plošný výpadek), nebo fail-open (pustí bez ověření, síť bez kontroly identity).
Obvyklý kompromis: pusť zařízení do silně omezeného segmentu – konektivita na nutné, ale žádná citlivá data.

▶ Otevřít v simulátoru

Lekce 5: Předpokládej průnik

Blast radius: kam útočník dosáhne

Třetí princip – předpokládej průnik – má jeden velmi praktický nástroj: otázku „kam odsud útočník dosáhne?". Odpovědi se říká blast radius (dosah škody): množina všeho, na co se dá dostat z jednoho obsazeného zařízení. Je to nejlepší způsob, jak si změřit, jestli tvá segmentace opravdu k něčemu je, protože se neptá „jsme v bezpečí?" (na to nikdo neodpoví), ale „co konkrétně padne, když padne tohle?". Postup je nudný a účinný: vezmi zařízení – nejlépe to nejzranitelnější, tedy kameru, tiskárnu, notebook hosta – a vypiš, s čím vším může navázat spojení. Pak si to zopakuj pro server v DMZ a pro počítač běžného zaměstnance. V ploché síti vyjde pokaždé jedna odpověď: se vším. V dobře rozdělené síti vyjdou tři malé a různé seznamy – a přesně o to jde. Segmentace nedokáže zabránit prvnímu průniku (ten přijde přes phishing nebo zranitelnost, tomu síť nezabrání), ale rozhoduje o tom, jestli z něj bude incident na jeden stroj, nebo na celou firmu. Tenhle způsob uvažování zároveň obrací pořadí práce: nezačínáš u toho, co chceš povolit, ale u toho, co si nemůžeš dovolit ztratit – a odtud se ptáš, kdo všechno se k tomu dnes dostane. Nejcennější data mají mít nejmenší blast radius; když se ukáže, že na účetní server dosáhne kamera na chodbě, právě jsi našel svůj další úkol.

Krok za krokem

Vezmi nejzranitelnější zařízení – kameru, tiskárnu, notebook hosta – a ptej se: kam odsud útočník dosáhne?
V ploché síti vyjde vždycky stejná odpověď: na všechno. To je maximální blast radius – dosah škody.
V rozdělené síti je seznam krátký: kamera dosáhne na svůj sběrač dat a dál nic. Průniku to nezabrání, ale zmenší škodu.
Obrať pořadí: začni u toho, co si nemůžeš dovolit ztratit, a ptej se, kdo všechno se k tomu dnes dostane.

Nástraha jako včasná výstraha

Předpoklad průniku má i druhou půlku: když útočník bude uvnitř, chceš se to dozvědět brzy. To je v praxi těžké, protože běžná síť je hlučná – logů jsou statisíce řádků a útočník se v nich schová. Existuje ale jeden nápadně jednoduchý trik: nástraha (honeypot). Do sítě umístíš zařízení nebo službu, která vypadá lákavě – server se jménem jako „zalohy" nebo „ucetnictvi" – ale která ve skutečnosti nemá žádný legitimní účel. Nikdo z lidí ani z aplikací nemá důvod se na ni připojit. A přesně v tom je její síla: jakýkoli pokus o spojení je podezřelý. Nemusíš rozlišovat normální a neobvyklé chování, nemusíš ladit prahové hodnoty – nula je jasná hranice. Kdo se nástrahy dotkne, buď se v síti rozhlíží (útočník), nebo něco nastavil špatně (a to se taky hodí vědět). Nástraha je proto nástroj včasné výstrahy, ne obrany: nikoho nezastaví, ale řekne ti, že se něco děje, ve chvíli, kdy s tím ještě můžeš něco udělat. Dvě praktické poznámky. Za prvé: nástraha musí být izolovaná a nesmí obsahovat nic cenného – jinak sis do sítě přidal slabý stroj navíc a útočníkovi jsi pomohl. Za druhé: nemá smysl, když se na její hlášení nikdo nedívá. To platí obecně – sledování bez reakce je jen sbírání dat. Zero Trust nekončí u nastavení pravidel; počítá s tím, že něco projde, a chce to vidět.

Krok za krokem

Chceš se o průniku dozvědět brzy, jenže běžná síť je hlučná a útočník se v záznamech snadno schová.
Nástraha (honeypot): zařízení, které vypadá lákavě, ale nemá žádný legitimní účel. Nikdo na ni nemá důvod chodit.
Proto je jakýkoli pokus o spojení podezřelý. Nemusíš ladit prahy – nula přístupů je jasná hranice.
Dvě podmínky: nástraha musí být izolovaná a bez cenného obsahu – a někdo se musí dívat. Sledování bez reakce je jen sběr dat.

Kontrola topologie jako hygiena

Návrh podle Zero Trustu má nepříjemnou vlastnost: kazí se sám. Ne proto, že by byl špatný, ale proto, že síť žije. Přibude projekt a s ním výjimka „jen dočasně". Odejde kolega a jeho pravidla zůstanou. Někdo připojí zařízení do zásuvky, kde se náhodou neověřuje. Dodavatel dostane přístup na jeden server a nikdo ho po skončení zakázky neodebere. Každá jednotlivá změna vypadá neškodně; po dvou letech je z pečlivého návrhu opět plochá síť s hradbou po obvodu. Proti tomu pomáhá jediné: pravidelná hygiena – opakovaná kontrola, ne jednorázový projekt. V simulátoru na to máš kontrolu topologie: projde tvou síť a upozorní na slabá místa, která se snadno přehlédnou – segment bez pravidel, zařízení, které se dostane tam, kam nemá, hostovská síť propojená dovnitř. Ber ji jako cvičný nácvik toho, co v reálné síti děláš ručně nebo nástrojem: projít seznam pravidel (co se nikdy neuplatnilo? co už nemá důvod existovat?), projít seznam přístupů (kdo má oprávnění, které nepoužívá?) a projít hranice segmentů (co přesně tudy chodí a proč?). Užitečný rytmus je jednoduchý: po každé větší změně a pak pravidelně, i když se nic nezměnilo – právě ta „nezměněná" období bývají ta, kdy se nasbíralo nejvíc výjimek. Zero Trust není stav, kterého dosáhneš; je to údržba.

Krok za krokem

Návrh se kazí sám: výjimka „jen dočasně", pravidla po odešlém kolegovi, přístup dodavatele po skončení zakázky.
Každá změna vypadá neškodně, ale po dvou letech je z pečlivého návrhu zase plochá síť s hradbou po obvodu.
Pomůže kontrola topologie: projde síť a ukáže slabá místa – segment bez pravidel nebo hostovskou síť propojenou dovnitř.
Rytmus: po každé větší změně a pak pravidelně projdi pravidla, přístupy a hranice segmentů. Zero Trust je údržba, ne stav.

▶ Otevřít v simulátoru

Lekce 6: Zero Trust v praxi

Cesta od ploché sítě

Poslední lekce je praktická: máš plochou síť a chceš z ní Zero Trust. Kde začít, aby ses po týdnu nezasekl? Osvědčené pořadí kroků vypadá takhle. 1) Zjisti, co v síti vlastně je. Nedá se chránit, o čem nevíš – a v každé síti se najde zařízení, které tam nikdo nečekal. 2) Zjisti, co s čím mluví. Chvíli jen sleduj provoz. Bez toho budeš pravidla psát naslepo a při prvním default deny shodíš firmu. 3) Odděl to nejcitlivější a to nejrizikovější. Hrubé segmenty: servery, uživatelé, IoT, hosté, správa. Největší přínos za nejmenší práci. 4) Napiš pravidla mezi segmenty, zatím povolovací a klidně širší, ale pojmenovaná – aby bylo vidět, co má chodit. 5) Přepni na default deny, segment po segmentu, ne všude naráz. Začni tam, kde je provoz nejlépe popsaný – typicky u hostů a IoT. 6) Přidej ověřování identity: 802.1X na porty a Wi-Fi, VPN a MFA proti témuž ověřovacímu serveru. 7) Postav sledování a vyzkoušej si reakci. Nakonec 8) opakuj – kontrola pravidel a přístupů je pravidelná práce. Všimni si, že prvních pět kroků nevyžaduje žádný nový produkt: dělají se pravidly a segmenty, které máš. A všimni si, kde je ověřování identity: až šesté, protože bez segmentů a pravidel nemá co vynucovat. Nejčastější chyba je začít od konce – koupit nástroj a doufat, že za tebe rozhodne, co má být povolené.

Krok za krokem

Kroky 1 a 2: zjisti, co v síti je, a chvíli jen sleduj provoz. Bez toho bys pravidla psal naslepo.
Kroky 3 a 4: hrubé segmenty (servery, uživatelé, IoT, hosté, správa) a mezi nimi pojmenovaná pravidla.
Krok 5: přepni na default deny segment po segmentu – začni tam, kde je provoz nejlépe popsaný (hosté, IoT).
Kroky 6 až 8: ověřování identity (802.1X, VPN, MFA), sledování a pak pořád dokola. Prvních pět kroků nepotřebuje nový produkt.

Co Zero Trust není

Kolem Zero Trustu je hodně marketingu, takže si ujasněme, co Zero Trust není – ušetří ti to peníze i zklamání. Není to produkt. Neexistuje krabice ani licence, po jejímž nasazení máš Zero Trust. Je to způsob návrhu, který se skládá z věcí, jež už znáš: segmentace, pravidla s nejmenším oprávněním, ověřování identity, sledování. Nástroje ti s tím pomůžou, ale rozhodnutí „kdo smí kam" za tebe nikdo neudělá. Není to jen VPN. VPN řeší šifrovaný přenos a vstup zvenčí – neřeší, co smíš dělat, až budeš uvnitř. Když tunel končí v ploché síti, je to hrad a příkop s delším příkopem. Není to jen MFA. Silné přihlášení je skvělé a ušetří spoustu problémů, ale je to jen první ze tří principů; po přihlášení pořád platí, kam tě síť pustí. Není to „nedůvěřovat lidem". Název je zavádějící – nejde o podezřívání zaměstnanců, ale o to, že se důvěra neodvozuje z umístění a nedává se natrvalo. Není to jednorázový projekt, jak jsi viděl u hygieny. A konečně: není to všechno nebo nic. Oddělit hosty a IoT a zavřít pár zbytečných cest je obrovský přínos, i když nemáš 802.1X a nikdy mít nebudeš. Střízlivě: Zero Trust je směr, kterým se síť posouvá po krocích – a každý krok se počítá sám o sobě.

Krok za krokem

Není to produkt: neexistuje krabice, po jejímž nasazení máš Zero Trust. Rozhodnutí „kdo smí kam" za tebe nikdo neudělá.
Není to jen VPN: tunel řeší šifrovaný přenos a vstup. Když končí v ploché síti, je to hrad a příkop s delším příkopem.
Není to jen MFA: silné přihlášení je první ze tří principů. Po přihlášení pořád platí, kam tě síť pustí.
Není to všechno nebo nic: oddělit hosty a IoT je velký přínos i bez 802.1X. Každý krok se počítá sám o sobě.

Kontrolní seznam pro návrh

Na závěr kontrolní seznam, který si můžeš vzít k jakémukoli návrhu nebo revizi sítě. Identita: Ověřuje se u každého vstupu (kabel, Wi-Fi, VPN) proti jednomu zdroji identit? Má vzdálený přístup MFA? Odebírají se přístupy při odchodu člověka nebo konci zakázky? Segmenty: Jsou oddělené podle role a citlivosti, ne podle patra? Mají hosté, IoT a správcovská rozhraní vlastní segment? Je hostovská síť opravdu jen do internetu? Pravidla: Platí default deny? Je každé pravidlo úzké (zdroj, cíl, služba) a popsané? Nezastiňuje široké pravidlo nahoře úzká pod ním? Existují pravidla, která se nikdy neuplatnila? Dosah: Kdybych obsadil kameru, notebook hosta nebo server v DMZ, kam se odsud dostanu? Mají nejcennější data nejmenší blast radius? Provoz a odolnost: Nestala se z ověřovacího serveru jediná krabice, na které visí celá firma? Vím, co se stane, když spadne? Dívá se někdo na hlášení? Zkoušel jsem někdy reakci nanečisto? Poslední rada, kterou si odnes: vyber si jednu odpověď, která tě dnes nejvíc zabolela, a sprav ji. Zero Trust se nedělá naráz – dělá se tím, že napříště bude ten seznam o jednu chybějící hranici kratší. Gratuluju k dokončení kurzu; teď si to zkus v simulátoru na výzvě, kde je host propojený tam, kam nemá.

Krok za krokem

Identita: ověřuje se u každého vstupu proti jednomu zdroji? Má vzdálený přístup MFA? Odebírají se přístupy při odchodu?
Segmenty: dělené podle role a citlivosti? Mají hosté, IoT a správa vlastní segment? Je hostovská síť opravdu jen do internetu?
Pravidla: platí default deny? Je každé úzké (zdroj, cíl, služba) a popsané? Nezastiňuje široké pravidlo ta úzká pod ním?
Dosah a provoz: kam se dostanu z obsazené kamery? Co když spadne ověřování? Dívá se někdo na hlášení? Vyber si jednu odpověď a sprav ji.

▶ Otevřít v simulátoru